CVE-2026-15748
KrytyczneCVSS 9.8Streszczenie
Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia witryny WordPress, kradzieży danych i dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Forminator Forms do najnowszej wersji oraz ograniczenie możliwości przesyłania plików dla nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Forminator Forms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.56.1 via the handle_file_upload function. This is due to insufficient file type validation in handle_file_upload, where the dangerous-extension blocklist performs exact-key matching that is bypassed by pipe-alternative MIME type keys, combined with a public submission handler that trusts attacker-controlled upload field configuration injected via a forged Select field value. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.